退出臉部支付服務，不代表照片一定會刪除
只要曾完成至少一筆交易，Toss就會在用戶退出FacePay服務後，繼續保留其原始臉部照片一年。Naver Pay則會在用戶退出FaceSign後保留原始照片90天。兩家公司表示，保留期限是為了處理用戶停止使用服務後可能提出的付款申訴。
目錄
Toss的保留時程格外明確：有交易紀錄的用戶退出服務後，照片會在隔日凌晨1時移至獨立資料庫，並於第366天上午10時銷毀。已註冊但從未交易的用戶，退出服務時照片會立即銷毀。
這項差異很重要，因為撤回同意確實會立即刪除另一種臉部資訊：用來辨識個人的數值特徵。用戶退出服務或撤回同意時，Toss與Naver Pay都會刪除這些生物特徵模板。因此，原始照片可能在驗證模板刪除後繼續留存。
南韓法規區分一般臉部照片與為辨識個人而以技術方式產生的資訊。爭議不在於臉部支付完全不受隱私法規約束，而在於現行規則是否充分規範留存照片、企業應保留多久，以及付款錯誤應如何記錄。
根據共同民主黨議員朴尚赫公開的資料，曾有民眾於前一年9月向金融監督院提出申訴，質疑Toss的照片保留政策。描述該申訴的資料指出，約一年後案件仍未解決，但未提供預計解決日期。
企業為何保留照片
Toss表示，保留期限是依據客戶通常需要多久才會提出付款申訴來訂定。Naver Pay也以用戶退出後仍可能提出付款錯誤申訴為由，說明為何要保留照片90天。
兩家公司的政策差異不小。一年約為Naver Pay 90天的四倍；不過，Toss明確訂出第366天銷毀，而非僅以月數說明。現有資料無法證明其中任何一段期限是業界通行標準，或是監管機關規定的期限。
用戶退出後，Toss會將留存照片與使用中的資料庫分開。這是一項儲存上的防護措施，但不等於刪除。對已不再使用臉部支付服務的客戶而言，關鍵事實仍是公司在服務關係結束後繼續持有其照片。
以處理申訴為由保留照片，也留下實際問題未解：為何必須在指定期限內保留原始照片，而不是其他交易紀錄？資料中未說明Toss保留一年或Naver Pay保留90天的必要性評估，也未指出有專門適用於支付服務照片的法定保留期限上限。
照片與生物特徵模板適用不同法律規範
生物特徵模板是將臉部特徵轉換為數值表示，供軟體比對不同人臉的資訊。它與一般照片不同，但照片可以用來產生這類模板。
依據文中所述的南韓隱私法規架構，為驗證或辨識特定個人而以技術方式產生的臉部特徵資訊，屬於敏感個人資訊，須遵守另行取得同意及加密等規定。一般相機拍攝的照片屬於個人資訊，但不會自動歸入同一類敏感資訊。
這項區別說明了為何企業可以立即刪除辨識模板，卻繼續保留原始照片。這不代表照片不受隱私保障，也不代表任何保留期限都當然合法；而是兩種資料適用不同規範，因此原始影像的保留期限及其合理性成為爭議核心。
提出此議題的共同民主黨議員朴尚赫警告，保留照片帶來的風險可能超出支付服務本身：
如果儲存期間遭到外洩，這些照片可能被用於其他服務的身分驗證，或被用來進行深偽犯罪。
這項警告談的是資料外洩後可能發生的情況。現有資料並未證實兩家公司留存的臉部照片曾遭外洩，或曾被用於這類犯罪。
服務快速擴張，註冊用戶數字不一
臉部支付會將已註冊的人臉與信用卡或銀行帳戶連結。註冊後，客戶只要站在終端機鏡頭前即可付款，不必拿出錢包或智慧型手機。整個過程據稱不到一秒。
新韓卡於2020年推出南韓首個臉部支付服務，但初期推廣成效有限。之後Toss與Naver Pay分別透過FacePay及FaceSign擴大市場；Toss提供價值5,000韓元或10,000韓元的註冊優惠券，Naver Pay則將服務與點數及支付餘額串接。
不同報導提供的註冊數字並不一致。一份資料指出，Toss FacePay註冊人數從前年底的100萬人，增至7月的700萬人，再增至8月的840萬人。另一份日期為2026年10月7日的資料則稱，Toss於2025年9月正式推出FacePay，並在2026年8月公布累計註冊人數超過700萬。
10月資料提供的是較低的門檻，因此不一定與840萬人矛盾。不過，現有資料未說明兩組數字是否採用相同計算方式或統計日期。第一份資料所稱的相對日期也未明確標示年份，不應逕自視為與10月資料中的日期完全一致。
以第一組數字來看，註冊人數從100萬增至840萬，增加740萬人，總數為原先的8.4倍。10月資料引用的Toss內部數據另指出，2026年6月曾使用FacePay付款的人中，約60%再次使用。註冊人數與回頭使用率衡量的是不同事項，因此兩項數據都無法說明有多少客戶經常使用這項服務。
服務擴張之際，退出人數也增加
描述照片保留爭議的資料指出，FacePay撤回同意的人數從4月的15,176人增至5月的45,605人，增加30,429人，5月人數約為4月的三倍。
這些數字顯示退出申請增加，但無法據此計算退出率，因為資料未提供各月活躍用戶或同意用戶的可比較人數；也無法看出有多少人是因為照片保留、隱私疑慮或付款問題而退出。
2026年10月資料描述的商業擴張，可能使臉部支付出現在更多日常場所。業者正尋求在約5,000家中小型超市及700家炸雞連鎖店部署終端機。這些是部署計畫，並非已確認開始處理交易的店家數量。
規模擴大後，停止付款驗證與刪除所有相關資料之間的差異更值得關注。即使註冊人數達數百萬，退出用戶的模板仍可立即刪除，而照片則可能繼續保留。退出服務對公司持有的各類資訊，不一定會產生相同效果。
10起賠償案例不等於10起辨識失誤
據報導，Toss曾就FacePay付款錯誤申訴賠償10次。其中包括店員代替顧客按下FacePay按鈕，之後完成付款的情況。
Toss表示，賠償不代表每起案件都涉及技術故障，或是公司應負責的錯誤。該公司解釋，業務初期會先向客戶賠償，再判定問題是否與客戶自身操作有關。
2026年10月的資料中，Toss另表示，未接獲任何因一個人的臉被誤認為另一人、導致款項從錯誤帳戶扣除的損害申訴。這項說法的範圍比「沒有付款申訴」更窄。
這項區別至關重要。系統可能正確辨識出已註冊的用戶，卻選中一名無意付款的人。Toss承認，如果鏡頭中只有另一名已註冊用戶的臉，系統可能會處理該用戶的付款。這與軟體把兩個人的身分混淆是不同情況。
社群媒體上流傳有人路過時帳戶遭扣款，或有人以照片完成付款的說法。這些都是指控，並非現有資料已證實的技術調查結果。因此，10起賠償案例、公司否認接獲身分誤認造成損害的申訴，以及鏡頭選取付款者的情境，不應混為單一的辨識失誤件數。
安全措施只處理部分問題
Toss表示，其臉部驗證準確率為99.99%；Naver Pay則稱臉部辨識準確率超過99%。這些都是公司公布的數據。由於缺乏共同的測試條件、定義或獨立評估結果，無法據此直接比較兩項服務。
兩項服務都說明了多個安全檢查階段，包括臉部偵測、影像品質檢查、偽造輸入檢查、身分比對及異常交易偵測。活體偵測會確認鏡頭看到的是真人，而非照片或影片；詐欺偵測系統則會檢查交易是否有可疑模式。
Toss也表示會使用模型區分相似人臉，並在部分情況下進行第二層驗證，包括辨識同卵雙胞胎。Naver Pay提供給客戶的說明則指出，如果鏡頭前同時出現多張臉，付款可能會失敗。
這些措施分別處理不同風險。活體檢查旨在防止有人以影像代替真人；身分比對則用來確認對方是誰。單憑這兩項說明，都無法證明鏡頭選中的人有意授權付款。
兩家公司也說明會加密臉部資訊，並將其轉換為數值特徵。Toss表示，臉部相關資料儲存在與網路隔離的環境中，未加密的原始資料會予以銷毀。這不等於所有原始照片都會立即刪除：依據退出政策，加密照片仍可能繼續保留。
申訴紀錄與賠償規則仍有缺口
提交至朴尚赫辦公室的金融監督院資料記錄了前一年內6起臉部辨識支付申訴。這個數字不能直接與Toss的10起賠償案例相比：前者是監管機關收到的申訴件數，後者是企業進行賠償的次數。
據報導，臉部支付錯誤不會列入金融監督院的正式事故通報統計，因為其分類不屬於必須通報的項目。因此，統計中沒有列出某起事件，並不能證明相關申訴從未發生。
法律上的區別在於是否獲得授權。文中對《電子金融交易法》的說明指出，詐欺支付事故相關的賠償類別，主要涵蓋未經授權的第三方執行交易。若付款錯誤並非涉及第三方濫用，便不會自動被視為此類事故。
Toss表示，對詐欺交易造成的損失採取全額賠償政策。Naver Pay則為申報FaceSign付款並非本人所為的用戶提供另一套客服處理流程。這些安排不代表每筆有爭議的付款都具有相同法律性質，或會獲得相同處理。
尚未解決的問題是，如何一致分類這類付款：系統正確辨識了某人，卻向一名無意付款的人扣款。現有資料未提及已定案的新通報類別、監管決定或預定聽證會能夠解決這個問題。
已有隱私監督，但保留標準尚未定案
個人情報保護委員會於2024年3月，曾對Toss臉部支付服務進行適足性審查。審查內容涉及隱私資料處理方式，也就是比對註冊時驗證的臉部與付款終端機拍攝的人臉。這顯示，依據2026年10月資料所述的正式推出日期，該服務在正式推出前已接受隱私審查。
另一項介入措施則顯示，主管機關對其他用途的影像保留採取不同做法。描述保留政策的報導提到，該年5月，委員會建議用於手機開通比對的原始照片及臉部資訊應在比對後立即銷毀。這項建議針對手機開通，並非具約束力的臉部支付照片保留期限。
重要日期與發展如下：
- 2020年：新韓卡推出南韓首個臉部支付服務。
- 2024年3月：個人情報保護委員會審查Toss臉部支付服務的隱私安排。
- 2025年9月：據2026年10月7日的資料，Toss正式推出FacePay。
- 2026年6月：Toss內部數據顯示，曾使用FacePay付款的人中，約60%再次使用。
- 2026年8月：Toss在10月的資料中公布累計註冊人數超過700萬；另一份報導則提供840萬人的8月數據，但未明確標示年份。
國際比較也需要審慎。舊金山等地對警方及政府機關使用臉部辨識的限制，與民間零售支付的用途不同。歐盟《一般資料保護規則》對用於辨識身分的生物特徵資料處理設有嚴格條件，但現有資料未提供可直接與Toss及Naver Pay政策相比的海外照片保留期限。
朴尚赫呼籲明訂臉部照片的保留期限與管理標準，並更密切追蹤付款申訴。目前未公布立法時程、企業政策修訂計畫或監管決定。現階段可確認的是，用戶可以停止臉部驗證授權，但原始照片仍可能留存在系統中；而付款爭議也不一定都會納入同一套正式通報系統。
重點整理
- 對於有任何交易紀錄的用戶，Toss會在用戶退出後繼續保留原始臉部照片，並於第366天上午10時銷毀。
- 從未交易的Toss用戶，其照片會立即刪除；Naver Pay則在用戶退出後保留原始照片90天。
- 用戶退出或撤回同意時，兩家公司都會立即刪除用於身分辨識的生物特徵模板。
- 據報導，Toss曾就10起付款申訴案件進行賠償，但該公司表示，並非所有案件都代表技術故障。
- 相關期間內，金融監督院記錄了6起申訴；臉部支付錯誤未列入其正式事故通報統計。
- 不同資料提供的8月註冊人數及日期資訊不一致，因此無法得出完全可比較的單一總數。
- 目前未指出臉部支付照片的專屬保留期限上限，也未訂出解決政策爭議的期限。
